A Python is blokkolja az eMudhra gyenge tanúsítványkulcsait

Új TLS-védelmi intézkedést jelentett be a Python Security Team 2026. október 24-én. A CVE-2026-115557 azonosítóval követett probléma nyomán a CPython ssl moduljába olyan tiltólista került, amely az ismerten kompromittált köztes hitelesítésszolgáltatói tanúsítványokat akkor is visszautasíthatja, ha az alkalmazás nem állított be külön tanúsítvány-visszavonási ellenőrzést.

A változás az eMudhra korábban azonosított, gyenge kriptográfiai kulcsaival kapcsolatos incidensre reagál. A CVE-adatbázisban a sérülékenységhez 9,4-es CVSS 4.0 súlyossági érték tartozik. Ez a TLS-bizalmi lánc potenciális támadhatóságát jelzi, nem azt, hogy egy konkrét banki adatkapcsolatot bizonyítottan eltérítettek.

Mi történt az eMudhra tanúsítványaival?

Október 17-én egy független kutató arra hívta fel a figyelmet, hogy nyolc eMudhra köztes hitelesítésszolgáltató kriptográfiai kulcsa nem megfelelő véletlenszerűséggel készült. Emiatt az érintett privát kulcsok visszafejthetők lehettek, ami alapvető kockázatot jelent a hozzájuk kapcsolódó tanúsítványláncok bizalmassága és hitelessége szempontjából.

A Google és más ökoszisztéma-szereplők sürgős bizalommegvonási lépéseket tettek. Az eMudhra közlése szerint az érintett köztes hitelesítésszolgáltatókat visszavonták, és nem bocsátottak ki velük végfelhasználói tanúsítványokat. Ettől függetlenül az alkalmazások védelme csak akkor megfelelő, ha a kliensoldali TLS-ellenőrzés is figyelembe veszi a kompromittált kulcsokat.

Mit csinál másként a Python?

A Python Security Team hivatalos figyelmeztetése szerint a beépített ssl modulba bekerült egy ismert kompromittált tanúsítványokra vonatkozó tiltólista. A felsorolt tanúsítványokat a modul a szokásos visszavonás-ellenőrzési beállításoktól függetlenül visszautasítja, ha a kapcsolatnál tanúsítvány-ellenőrzés történik.

A tiltólista tehát egy további védelmi réteg. Nem helyettesíti a szabályosan beállított kiszolgálóazonosítást és tanúsítvány-ellenőrzést, és nem teszi biztonságossá azt a környezetet, ahol az alkalmazás eleve kikapcsolja a TLS-hitelesítést.

Fontos különbség: egy javítás beolvasztása nem azonos a kiadásával

A CPython javítását a projekt forráskódtárában követhető pull request és CVE-bejegyzés dokumentálja. A javítás bekerült a fejlesztési ágba, és elindult a támogatott Python 3.11–3.15 verzióágakba történő visszavezetése.

Ez önmagában nem bizonyítja, hogy a telepíthető Python-verziók mindegyike már tartalmazza a javítást. A disztribúciók és konténerképek eltérő ütemben kaphatják meg a változtatást. Az érintettség ellenőrzésekor ezért nemcsak a főverziót, hanem az adott csomag kiadási dátumát, a szállítói biztonsági közleményt és a tényleges patchszintet kell vizsgálni.

Miért fontos ez a banki API-k és a fintech-integrációk számára?

Python-alapú alkalmazások gyakran hívnak HTTPS-en számlaadat-, fizetési, felhő- vagy más üzleti API-kat. Ezeknek a kapcsolatoknak a biztonságához a titkosítás mellett a távoli fél hiteles azonosítása is szükséges. Ha a kliens jogosulatlan tanúsítványt fogad el, a forgalom bizalmassága és sértetlensége is veszélybe kerülhet.

A Pythonban bevezetett további ellenőrzés így az API-integrációs lánc védelme szempontjából releváns. Ugyanakkor a kockázatot az határozza meg, milyen Python- és TLS-könyvtárakat használ az adott szolgáltatás, illetve milyen tanúsítvány-ellenőrzési házirend van érvényben.

Mit érdemes ellenőrizni?

Az üzemeltetőknek célszerű leltárt készíteni a Python-alapú API-kliensekről, feladatütemezőkről és konténerképekről, majd ellenőrizniük kell a használt Python-csomagkiadások és tanúsítványtárak javítási állapotát. Külön figyelmet érdemel a certifi, a csomagkezelők és a rendszer CA-tára, mert a bizalmi állapot több rétegben alakul ki.

A TLS-ellenőrzés kikapcsolása nem elfogadható kerülőmegoldás. Ha egy konkrét alkalmazás vagy beszállítói csomag érintettsége nem dönthető el a nyilvános információkból, az adott disztribúció biztonsági kiadási jegyzetei adhatnak hiteles választ.